¿Qué es la ingeniería social?
Ingeniería Social en Ciberseguridad
La “ingeniería social” cibercriminal es una táctica que, en esencia, recae en un usuario creando una falsa narrativa que explota la credibilidad, la codicia, la curiosidad o cualquier otra característica muy humana de la víctima. El resultado final es que la víctima proporciona voluntariamente información privada al atacante, ya sea personal (p. ej., nombre, correo electrónico), financiera (p. ej., número de tarjeta de crédito, cartera criptográfica) o mediante la instalación accidental de malware/puertas traseras en su propio sistema.
Podemos clasificar los ataques modernos en dos categorías muy amplias según el objetivo: Atacan a la máquina o al usuario. El “ataque de la máquina” comenzó con ataques de explotación de vulnerabilidades en 1996 con el artículo fundamental, “Rompe la pila para diversión y beneficios”. Sin embargo, “atacar al ser humano” (ingeniería social) ha sido, y sigue siendo, abrumadoramente más frecuente. Todos los ataques conocidos basados en la no vulnerabilidad tienen un elemento de ingeniería social en el que el atacante intenta convencer a la víctima de que haga algo que acabará siendo pernicioso para ella.
Tipos de ataques de ingeniería social
Si bien no es una lista exhaustiva, los siguientes son los principales ataques de ingeniería social a tener en cuenta:
Phishing
Phishing es uno de los tipos más comunes de ataques de ingeniería social. Utiliza emails y mensajes de texto para atraer a las víctimas a hacer clic en archivos adjuntos maliciosos o enlaces a sitios web dañinos.
Baiting
Este ataque utiliza una falsa promesa para atraer a una víctima mediante la codicia o el interés. Las víctimas se ven atraídas en una trampa que pone en peligro su información confidencial o infecta sus dispositivos. Un ejemplo sería dejar una unidad flash infectada con malware en un lugar público. La víctima puede estar interesada en su contenido e insertarlo en su dispositivo, instalando involuntariamente el malware.
Pretexto
En este ataque, un actor miente a otro para obtener acceso a los datos. Por ejemplo, un atacante puede fingir necesitar datos financieros o personales para confirmar la identidad del destinatario.
Scareware
Scareware implica que las víctimas tengan miedo de falsas alarmas y amenazas. Los usuarios pueden engañarse pensando que su sistema está infectado con malware. A continuación, instalan la solución de software sugerida, pero este software puede ser el malware en sí, por ejemplo, un virus o spyware. Algunos ejemplos comunes son los banners emergentes que aparecen en su navegador y que muestran texto como “Su ordenador puede estar infectado”. Ofrecerá instalar la solución o le dirigirá a un sitio web malicioso.
Spear phishing y whaling
En el spear phishing el ataque está dirigido específicamente a una persona u organización en particular. Del mismo modo, el whaling se dirige a empleados de alto perfil, como CEO y directores.
Tailgating
También conocido como piggybacking, el tailgating se produce cuando un atacante entra en un edificio seguro o departamento de oficina siguiendo a alguien con una tarjeta de acceso. Este ataque supone que otros asumirán que el atacante puede estar allí.
Estafas basadas en IA
Las estafas basadas en IA aprovechan la tecnología de inteligencia artificial para engañar a las víctimas. Estos son los tipos comunes:
- Estafa de texto de IA: Mensajes de texto engañosos generados por la IA para suplantar información o propagar malware.
- Estafa de imagen de IA: Imágenes falsas creadas con IA para manipular y engañar a las personas.
- Estafa de voz con IA: Mensajes de voz fraudulentos generados por la IA para hacerse pasar por entidades de confianza y engañar a las víctimas.
- Estafa de IA y vídeo: Vídeos manipulados creados con IA, conocidos como falsificaciones profundas, utilizados para difundir información errónea o dirigirse a personas.
Cómo reconocer ataques de ingeniería social
Debido a que estos ataques vienen en muchas formas y tamaños diferentes, y dependen de la falibilidad humana, puede ser muy difícil identificar ataques de ingeniería social. Sin embargo, si se encuentra con alguna de las siguientes señales de advertencia, se le advierte de que estas son las principales señales de alerta y sugiere que está comenzando un ataque de ingeniería social:
- Un correo electrónico o mensaje de texto no solicitado de alguien que no conoce.
- El mensaje es supuestamente muy urgente.
- El mensaje requiere que haga clic en un enlace o abra un archivo adjunto.
- El mensaje contiene muchos errores tipográficos y gramaticales.
- Como alternativa, recibe una llamada de alguien que no conoce.
- La persona que llama intenta obtener información personal de usted.
- La persona que llama está intentando que descargue algo.
- La persona que llama habla de forma similar con un gran sentido de urgencia y/o agresividad.
¿Cómo evitar estafas de ingeniería social?
La mayor armadura que se puede utilizar contra las tácticas de ingeniería social empleadas por los delincuentes en línea hoy en día es estar bien informado de las muchas formas en que un cibercriminal podría aprovechar su vulnerabilidad en las redes sociales. Más que las consecuencias habituales de caer en presa de spam, ataques de phishing e infecciones de malware, el desafío que plantean los cibercriminales es tener un conocimiento y comprensión firmes sobre cómo mantener la privacidad de sus datos.
Aparte de estar atento a las señales de advertencia anteriores, las siguientes son buenas prácticas a seguir:
- Mantenga actualizado su sistema operativo y software de ciberseguridad.
- Utilice autenticación multifactor y/o un gestor de contraseñas.
- No abra correos electrónicos ni archivos adjuntos de fuentes desconocidas.
- Establezca sus filtros de spam demasiado altos.
- Elimine e ignore cualquier solicitud de información financiera o contraseñas.
- Si sospecha de algo durante una interacción, esté tranquilo y tome las cosas lentamente.
- Realice su investigación cuando se trata de sitios web, empresas e individuos.
- Tenga cuidado con lo que comparte en las redes sociales: utilice su configuración de privacidad.
- Si es empleado de una empresa, asegúrese de conocer las políticas de seguridad.
Ejemplos de ataques de ingeniería social
Motivados enormemente por los beneficios, los cibercriminales han aumentado significativamente sus métodos para extraer información confidencial de los usuarios en línea para obtener ganancias monetarias.
- Enero es cuando la mayoría de los países inician la temporada fiscal, lo que lo convierte en el objetivo cibercriminal favorito para ganar dinero. Gracias a la ingeniería social, una táctica popular en la que un ataque se adapta para coincidir con ocasiones ampliamente celebradas, días festivos observados y noticias populares, los cibercriminales ganan mucho de sus víctimas. Los ciudadanos estadounidenses recibieron muestras de spam que intentaron transmitirse como un mensaje del Servicio de Impuestos Internos (IRS) de EE. UU.
Obtenga más información aquí.
Las noticias sobre la muerte prematura de Robin Williams el 12 de agosto de 2014 fueron un impacto para personas de todo el mundo. Mientras que las noticias sobre su muerte se propagaron como un incendio forestal entre los netizadores, los spammers y los cibercriminales implementaron correos electrónicos no deseados que mencionan el nombre del actor en el asunto del correo electrónico. El correo no deseado pide a los destinatarios que descarguen un vídeo “chocante” sobre la muerte de William, pero al hacer clic en el enlace del vídeo se descarga un archivo ejecutable que se detectó como WORM_GAMARUE.WSTQ en su lugar.
Obtenga más información aquí.
Cuando las noticias sobre la pandemia del Ébola inundaron Internet, los cibercriminales aprovecharon la oportunidad de utilizar los informes generalizados como cebo para atraer a las víctimas desprevenidas a abrir correos electrónicos falsos. Estos correos electrónicos conducen en última instancia a intentos de phishing, donde se roban la información y las credenciales de la víctima.
Obtenga más información aquí.
- 2008 fue el brote de ataques sociales generados por cibercriminales para sabotaje y beneficio. Con los objetivos identificados, los ataques basados en plataformas se dirigieron a usuarios domésticos, pequeñas empresas y organizaciones a gran escala que afectan al robo de propiedad intelectual, lo que supone una importante pérdida financiera. En gran medida, los delincuentes en línea han ideado formas de atacar a los usuarios web con el uso de sitios de redes sociales como Facebook y Twitter.
- En 2008, los usuarios de Facebook se convirtieron en el objetivo del ataque de malware de tipo gusano KOOBFACE. Twitter se convirtió entonces en una mina de oro para los cibercriminales en 2009 que propagaban enlaces maliciosos que se descubrió que transportaban Trojan.
El futuro de los ataques de ingeniería social
Podemos deconstruir cualquier interacción de ingeniería social y reducirla a los siguientes elementos:
- Un “medio” para establecer la conexión con la víctima, que se puede realizar por teléfono, correo electrónico, red social o mensaje directo, por nombrar algunos.
- Una “mentira”, en la que el atacante crea una falsedad para convencer a la víctima de que actúe en un tiempo determinado. La mentira a menudo también tiene un sentido de urgencia incorporado, como una limitación de tiempo.
- Una “pregunta”, es decir, la acción que debe tomar la víctima, como dar credenciales, ejecutar un archivo malicioso, invertir en un determinado esquema criptográfico o enviar dinero.
Permítanos utilizar un ejemplo común con el que probablemente esté familiarizado: la estafa estereotípica por correo electrónico:
Figura 1. Un medio, mentira y pregunta de un ataque de ingeniería social
A partir de 2024, los delincuentes llegan a sus víctimas a través de todo tipo de capacidades de red. También utilizan historias inventadas como parte de sus trucos de ingeniería social. Sus objetivos suelen ser los mismos, como revelar la contraseña, instalar malware o compartir información personal.
A lo largo de los años, hemos visto una multitud de diferentes parcelas en el espacio de la ingeniería social, y se le condonaría por pensar que todas las ideas parecen ya haber sido utilizadas. Sin embargo, los atacantes siguen buscando nuevos trucos de ingeniería social cada año. En este artículo, exploraremos las nuevas mejoras de ingeniería social que los atacantes podrían utilizar en el futuro para los usuarios de estampación. Al cambiar el medio, la mentira o la pregunta, los atacantes pueden encontrar fácilmente implementaciones nuevas e innovadoras para engañar a sus víctimas.
¿Qué nuevos elementos podemos esperar ver? ¿Qué nuevos cambios en el antiguo esquema podemos prever? ¿Cómo afectarán las nuevas tecnologías a cualquiera de estas?
Cambios en el medio
A medida que surgen nuevas tecnologías, los atacantes obtienen más formas de llegar a sus posibles víctimas. Esto incluye herramientas de IA, dispositivos de RV como Apple Vision Pro, el pin Humane, gafas Ray-Ban o cualquier nuevo dispositivo que los usuarios puedan empezar a utilizar en el futuro.
Uso de wearables como medio
Los nuevos dispositivos entran en el mercado cada año y esto amplía la superficie de ataque a los cibercriminales. Los dispositivos portátiles son especialmente interesantes porque siempre están encendidos y sus usuarios confían plenamente en ellos. Cualquier implementación que implique un dispositivo portátil tiene una mayor probabilidad de ser creído y de confianza. Existe la posibilidad de que el atacante obtenga acceso al dispositivo portátil. A menudo no están diseñados para implementar herramientas de seguridad ni para autenticarse regularmente, a menudo eludiendo los controles de seguridad normales.
Figura 2. Un posible escenario de dispositivos portátiles como medio para ataques de ingeniería social
Chatbots como medio
Los chatbots de IA también podrían utilizarse como vehículo para llegar al usuario. La idea de este ataque es enviar información falsa al chatbot con el fin de manipular al usuario para que actúe. Envenenar los datos del chatbot se puede lograr de varias maneras, incluida la alimentación de información negativa, el secuestro de datos de formación o la inyección de nuevos comandos.
Nuevos ataques basados en email
Una nueva forma de utilizar el medio clásico de email y mensajería instantánea (IM) sería utilizar un bot impulsado por un modelo de lenguaje grande (LLM) para aumentar la efectividad de un ataque BEC. El agente de amenazas podría utilizar el bot de LLM para compilar todo el historial de mensajes anterior entre la víctima y el CEO. A continuación, el bot podría continuar un hilo en este canal de confianza como si fuera el CEO utilizando el estilo de escritura del CEO para convencer a la víctima de que cablee el dinero. Esto ya está sucediendo manualmente, pero no se puede ignorar la posibilidad de que este ataque se automatice con IA.
Mejora de las mentiras
La principal innovación que impulsa las mentiras socialmente diseñadas es la IA. La mentira real en una historia de ingeniería social variará en función de la temporada, el país y el grupo demográfico, por nombrar algunos, pero esto puede cambiar muy rápidamente debido a la escalabilidad y flexibilidad que proporciona la IA. La IA generativa (GenAI) destaca en la generación de imágenes, audio y vídeo. Para el texto, destaca tanto en la creación de contenido creíble como en el procesamiento rápido de grandes cantidades de texto. Esta nueva escalabilidad abre muchos nuevos desarrollos al aspecto de la "mentira" de la ingeniería social.
Un nuevo tema que los atacantes pueden utilizar para crear mentiras es la propia tecnología de IA. Por ejemplo, elaborar mentiras sobre ChatGPT o VR puede ser efectivo debido al interés que generan. Además, los atacantes pueden crear herramientas falsas relacionadas con la IA que en realidad son malware. Por lo general, los diseñadores gráficos sienten curiosidad por la creación de imágenes y vídeos falsos. Una herramienta que el atacante pueda ofrecer para facilitar esto probablemente se descargaría y ejecutaría en su lugar. Del mismo modo, la incorporación de imágenes y vídeos falsos profundos a estafas exitosas existentes puede añadirles más credibilidad. Esta estrategia está claramente en aumento en el panorama actual de amenazas. Creemos que las falsificaciones profundas tienen el potencial de ser altamente disruptivas en las estafas de ingeniería social y que los atacantes las utilizarán ampliamente en un futuro próximo.
Figura 3. Cómo pueden mejorarse las estafas de voz y llamadas con deepfakes